ChatGPT, Gemini, Claude, Mistral, Llama : ces modèles d'IA à usage général (GPAI — General Purpose AI) sont au cœur d'une section spécifique de l'AI Act. Entrés dans le champ du règlement en août 2025, ils sont soumis à des obligations qui leur sont propres, distinctes du régime général de classification par risque.
Qu'est-ce qu'un modèle GPAI selon l'AI Act ?
Un modèle GPAI (General Purpose AI) selon l'AI Act est un modèle entraîné sur de grandes quantités de données, capable d'accomplir une large variété de tâches. Cela inclut les LLM (GPT-4, Gemini, Claude, Mistral, Llama) et les modèles multimodaux. Ces modèles sont soumis depuis août 2025 à des obligations spécifiques de transparence et de documentation.
L'article 3, point 63 de l'AI Act définit le modèle d'IA à usage général comme «un modèle d'IA, y compris lorsque ce modèle d'IA est entraîné à l'aide d'un grand nombre de données utilisant l'auto-supervision à grande échelle, qui présente une généralité significative et est capable d'exécuter de manière compétente un large éventail de tâches distinctes».
En pratique, cela concerne les grands modèles de langage (LLM) comme GPT-4, Gemini, Claude, Mistral, Llama, ainsi que les modèles multimodaux capables de traiter texte, images, audio et vidéo.
Ce qui distingue les GPAI des autres IA : leur usage n'est pas prédéfini. Un LLM peut être utilisé pour rédiger des emails, générer du code, analyser des contrats juridiques, ou créer des contenus marketing. Cette versatilité les place dans une catégorie réglementaire à part.
Les obligations GPAI : le régime de base (tous les modèles)
Tous les fournisseurs de modèles GPAI, quelle que soit leur taille, sont soumis à un socle commun d'obligations depuis août 2025 :
1. Documentation technique : les fournisseurs doivent maintenir et tenir à jour une documentation technique selon les exigences de l'Annexe XI. Cette documentation couvre l'architecture du modèle, les données d'entraînement (caractéristiques générales, sources, procédures de filtrage), les capacités et limites, les benchmarks de performance.
2. Politique d'utilisation acceptable : publication d'une politique claire sur les usages autorisés et interdits du modèle.
3. Informations pour les intégrateurs : les fournisseurs doivent fournir aux entreprises qui intègrent leurs modèles dans des produits les informations nécessaires pour que ces entreprises puissent respecter leurs propres obligations AI Act.
4. Respect du droit d'auteur : mettre en place des politiques de conformité au droit d'auteur européen, notamment pour les données d'entraînement.
5. Publication du résumé du contenu d'entraînement : rendre public un résumé suffisamment détaillé des données utilisées pour l'entraînement.
| Obligation | Qui | Depuis quand |
|---|---|---|
| Documentation technique (Annexe XI) | Tous les fournisseurs GPAI | Août 2025 |
| Politique d'utilisation acceptable | Tous les fournisseurs GPAI | Août 2025 |
| Informations aux intégrateurs | Tous les fournisseurs GPAI | Août 2025 |
| Conformité droit d'auteur | Tous les fournisseurs GPAI | Août 2025 |
| Résumé contenu d'entraînement | Tous les fournisseurs GPAI | Août 2025 |
| Évaluation risques systémiques | Modèles >10²⁵ FLOPs uniquement | Août 2025 |
| Tests adversariaux (red teaming) | Modèles >10²⁵ FLOPs uniquement | Août 2025 |
| Signalement incidents graves | Modèles >10²⁵ FLOPs uniquement | Août 2025 |
Les obligations supplémentaires pour les modèles à risque systémique
L'AI Act distingue les modèles GPAI ordinaires des modèles GPAI présentant un «risque systémique». Un modèle est présumé présenter un risque systémique si sa puissance de calcul d'entraînement dépasse 10²⁵ FLOPs (floating-point operations).
Pourquoi ce seuil ? Il est reconnu comme une approximation de la frontière au-delà de laquelle les capacités émergentes et imprévisibles deviennent plus probables. Ce seuil pourra être révisé par la Commission via acte délégué.
Qui est concerné actuellement ? Les modèles les plus puissants d'OpenAI (GPT-4 et au-delà), Google (Gemini Ultra), Anthropic (Claude Opus 3+), et potentiellement quelques autres acteurs majeurs.
Les obligations supplémentaires pour ces modèles : 1. Évaluation des risques systémiques : identifier et analyser les risques à grande échelle (cybersécurité, désinformation, manipulation à grande échelle) 2. Tests adversariaux (red teaming) : évaluer les faiblesses et usages malveillants potentiels avec des experts externes 3. Mesures d'atténuation : mettre en place des mesures techniques et organisationnelles pour limiter les risques identifiés 4. Signalement des incidents graves : notifier le Bureau européen de l'IA en cas d'incident ou de faille de sécurité grave 5. Cybersécurité renforcée : protection adéquate contre les usages malveillants et les attaques
Le seuil des 10²⁵ FLOPs est une ligne dans le sable, pas une garantie scientifique. La Commission peut le modifier. Et des modèles plus petits mais plus spécialisés peuvent être aussi dangereux que des modèles plus grands mais généralistes. La réglementation continuera d'évoluer.
Les codes de conduite GPAI : l'autorégulation encadrée
L'AI Act innove en créant un mécanisme de codes de conduite que les fournisseurs de GPAI peuvent élaborer collectivement sous la supervision du Bureau européen de l'IA.
Ces codes permettent aux acteurs de définir des standards pratiques pour répondre aux obligations légales. Un code de conduite approuvé peut être utilisé comme preuve de conformité.
En 2025, le Bureau européen de l'IA a lancé un processus participatif pour élaborer ces codes, impliquant : - Les fournisseurs de modèles (OpenAI, Google, Anthropic, Mistral, Meta...) - Les chercheurs en sécurité IA - Les organisations de la société civile - Les représentants des États membres
Le processus est encore en cours, et les premiers codes de conduite finalisés sont attendus courant 2026.
Le cas particulier des modèles open source
Les modèles GPAI publiés sous licence open source (comme Llama de Meta ou Mistral 7B) bénéficient d'un régime allégé.
L'exemption principale : les fournisseurs de modèles GPAI open source ne sont pas soumis aux obligations de documentation et de transparence envers les intégrateurs, à condition que les paramètres du modèle soient publiquement accessibles.
Pourquoi cette exemption ? La Commission a reconnu que les modèles open source permettent une recherche en sécurité plus efficace (n'importe qui peut auditer le modèle) et que les obligations de documentation auraient pu freiner leur développement.
Les limites de l'exemption : elle ne s'applique pas si le modèle open source est intégré dans un système à risque élevé. Et les modèles open source à risque systémique (>10²⁵ FLOPs) ne bénéficient pas de l'exemption.
Impact sur les entreprises qui utilisent des GPAI
Si vous utilisez ChatGPT, Gemini, Claude ou tout autre GPAI dans vos produits ou services, les obligations GPAI s'appliquent d'abord au fournisseur (OpenAI, Google, Anthropic...). Mais vous avez aussi des responsabilités.
En tant que déployeur : - Vous devez vous assurer que le GPAI que vous utilisez respecte ses obligations (vérification des conditions d'utilisation, de la politique de conformité AI Act) - Si vous utilisez ce GPAI pour créer un système à risque élevé, vous endossez les obligations correspondantes - Si votre produit est un chatbot, vous devez informer les utilisateurs qu'ils interagissent avec une IA (article 50)
La chaîne de responsabilité : le fournisseur du modèle de base est responsable de ses obligations GPAI. L'entreprise qui intègre ce modèle est responsable de l'usage qu'elle en fait et des obligations liées à son propre niveau de risque.
- Vérifiez la politique de conformité AI Act de votre fournisseur GPAI
- Évaluez si votre usage du GPAI crée un système à risque élevé
- Informez vos utilisateurs qu'ils interagissent avec une IA (art. 50)
- Documentez votre usage du GPAI dans votre propre documentation
- Mettez à jour vos contrats fournisseurs pour inclure les garanties AI Act
FAQ : GPAI et AI Act
Conclusion
Le régime GPAI de l'AI Act est une réponse pragmatique à l'émergence des grands modèles de langage. En distinguant les obligations de base (pour tous) des obligations renforcées (pour les modèles les plus puissants), le règlement cherche à proportionner les contraintes sans bloquer l'innovation. Pour les entreprises qui utilisent ces modèles, la conformité passe par le choix de fournisseurs eux-mêmes conformes et par l'évaluation de leurs propres usages.
Questions fréquentes
OpenAI, en tant que fournisseur GPAI, est tenu de se conformer aux obligations GPAI de l'AI Act depuis août 2025. En tant qu'utilisateur, si vous utilisez ChatGPT pour des tâches personnelles ou internes (rédaction, analyse), vous n'avez pas d'obligations directes. Si vous l'intégrez dans un produit ou service destiné à des tiers, des obligations peuvent s'appliquer selon le niveau de risque.
Un incident grave est une violation de l'AI Act ou une faille de sécurité permettant un accès non autorisé, une perte ou altération des données d'entraînement, ou une compromission du système. Les incidents pouvant avoir des conséquences sur la sécurité, la santé ou les droits fondamentaux de nombreuses personnes doivent être signalés au Bureau européen de l'IA.
Oui. Mistral AI, en tant que fournisseur GPAI basé en Europe, est pleinement soumis aux obligations GPAI depuis août 2025. Ses modèles les plus petits (7B, 8x7B) bénéficient potentiellement de l'exemption open source. Mistral Large et ses successeurs, selon leur puissance d'entraînement, peuvent être soumis aux obligations supplémentaires pour risque systémique.
Un modèle GPAI (General Purpose AI) est un modèle d'IA capable d'accomplir de nombreuses tâches différentes, comme les LLM (ChatGPT, Gemini, Claude). Depuis août 2025, ces modèles sont soumis à des obligations spécifiques de transparence, documentation et, pour les plus puissants, de gestion des risques systémiques.